Šta tunel šifrira, a šta ostavlja čitljivim

Tunel vam radi, jedna kartica pokazuje zeleni lokot, a obična HTTP stranica u drugoj kartici i dalje upozorava da veza nije sigurna. Ta kombinacija zbunjuje ljude jer dvije zaštite pokrivaju različite udaljenosti. VPN štiti saobraćaj između vlastitih krajnjih tačaka, a nakon izlaza saobraćaj ponovo postaje običan. HTTPS štiti jednu vezu sve do web stranice. Kad se te dvije činjenice spoje, objašnjeno je većina pitanja o tome šta VPN zapravo skriva.

Šta tunel zapravo pokriva

Između klijenta i VPN partnera posmatrač vidi šifrovane bajtove, a ne čitljiv zahtjev. To pokriva dionicu koju tunel prelazi, a to je obično dio koji ne kontrolišete. Ne proteže se na vezu između VPN izlaza i web stranice, jer je tunel završio na izlazu. Bajtovi su ponovo čitljivi od trenutka kada tunel prestane. Ništa u tome nije pogrešna konfiguracija.

Izlaz je mašina koja dešifruje i prosljeđuje, a upravo tome VPN služi. Sve što proslijedi vidljivo mu je u obliku u kojem je primljeno, pa običan HTTP zahtjev ostaje običan tekst od izlaza nadalje.

Čitajte to kao svojstvo, a ne kao nedostatak. Šifrovanje je ograničeno na putanju, a putanja završava tamo gdje usluga počinje.

Ključevi, nonce i integritet jednostavnim riječima

Tekući saobraćaj zaštićen je simetričnom kriptografijom, a oba kraja izvode ili dobijaju ključni materijal tokom rukovanja. Autentifikovano šifrovanje, opisano općenito u RFC 5116, daje povjerljivost i integritet u jednoj konstrukciji. Prijemnik odbija izmijenjene bajtove umjesto da ih samo ne uspije pročitati, i to je dio koji ljudi zaborave kad misle da šifrovanje znači izmiješati.

Ključevi dolaze iz te razmjene, a ne iz lozinke unesene pri prijavi. Lozinka autentifikuje identitet, a protokol zatim uspostavlja sesijski materijal. Efemerna razmjena ključeva daje unaprijednu tajnovitost, pa snimljena sesija ostaje nečitljiva čak i ako dugoročni ključ kasnije iscuri.

Veliki broj u specifikaciji ne odgovara ni na jedno od tih pitanja, a poređenje brojeva između nepovezanih algoritama nije rangiranje. Pitajte umjesto toga šta razmjena ključeva pruža.

Gdje tunel završava

Krajnja tačka koja prekida tunel može čitati ono što prosljeđuje. To vrijedi za korporativni prolaz, komercijalnog provajdera i vlastiti server jednako. To je dizajn, a ne nedostatak u njemu. Snažna kriptografija ne može spriječiti kompromitovanu krajnju tačku da čita običan tekst koji do nje dolazi, jer se zaštita zaustavlja upravo na krajnjoj tački.

HTTPS se nastavlja nakon te tačke, zato stranica može biti sigurna na neprijateljskoj mreži i bez VPN-a. Dvije zaštite se preklapaju na prvoj dionici i samo jedna nastavlja nakon izlaza.

Zato slabljenje provjere certifikata da bi veza proradila nije test tunela. Ono isključuje drugu zaštitu i ostavlja vas s manje nego što ste imali na početku.

Zašto je anonimnost drugi proizvod

Adrese, vrijeme i obim ostaju vidljivi izvan tunela. Posmatrač može vidjeti da saobraćaj ide ka VPN krajnjoj tački, otprilike koliko i kada. Sadržaj može biti nečitljiv dok obrazac još nosi informaciju.

Provajder se takođe nalazi na drugom mjestu od vaše mreže, što je promjena posmatrača, a ne uklanjanje posmatranja. Kolačići, prijave i identifikatori računa rade isto kao prije, jer tunel nikada nije obećao da će ih mijenjati.

Odaberite provajdera po politici evidentiranja i nadležnosti ako je to uslov, a zatim pročitajte samu politiku. Marketinške stranice rijetko odgovaraju na to pitanje tako da se može provjeriti.

Provjerite tunel i stranicu odvojeno

Prvo provjerite tunel da biste znali koju zaštitu testirate. Zatim provjerite vlastiti transport stranice i uporedite dva rezultata umjesto da pretpostavljate da jedno podrazumijeva drugo. Tunel koji nosi običan HTTP i stranica koja servira HTTPS rade tačno ono za šta su konfigurisani.

Izvršite provjere prema hostu koji vam je dopušteno testirati i čitajte izlaz, a ne sažetak.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Kada je tunel aktivan i stranica HTTPS, imate dvije zaštite na prvoj dionici i jednu na drugoj. Kada je stranica običan HTTP, druga dionica je čitljiva svima na njoj, uključujući izlaz koji je proslijedio zahtjev. Znati koja od dvije nedostaje cijela je dijagnoza, a za to su potrebne dvije komande, a ne novi klijent.